Falhas do tipo CWE-280

169 resultados

Tratamento inadequado de permissões ou privilégios insuficientes

Ocorre quando o aplicativo não verifica corretamente se o usuário ou processo possui as permissões necessárias antes de executar uma ação sensível. O código assume que a operação foi autorizada sem validar o contexto de segurança, permitindo que usuários sem privilégio acessem recursos ou executem ações restritas.

Exemplo

Um painel administrativo que lista usuários sensíveis sem validar se o requisitante é administrador; qualquer usuário autenticado consegue acessar a rota /admin/users apenas porque a aplicação não verifica role ou permissão específica.

Como mitigar

Implementar controle de acesso explícito: valide permissões em cada operação sensível (authorization checks), use padrões como RBAC ou ABAC, e considere frameworks que forçam validação (ex: @RequireRole, middleware de permissões). Teste negativo: confirme que usuários sem privilégio são bloqueados.

CVE-2024-4692LOWMultiple missing permission checksEPSS 0.3%CVE-2025-58410HIGHGPU DDK - Multiple calls into PhysmemGEMPrimeExport can inherit write access permission for an existing read-only dma_buf import PMREPSS 0.3%CVE-2026-54259MEDIUMWagtail: Improper restriction handling on Documents and Images chosen endpointsEPSS 0.3%CVE-2026-54262MEDIUMWagtail: Pages translations can be created without page permissions when using simple_translationEPSS 0.3%CVE-2026-9792MEDIUMKeycloak: keycloak: security restriction bypass allows unauthorized ropc token acquisitionEPSS 0.3%CVE-2026-10549MEDIUMPrivilege escalation in Yandex DatabaseEPSS 0.3%CVE-2025-62176MEDIUMMastadon streaming server allows OAuth clients without the `read` scope to subscribe to public channelsEPSS 0.3%CVE-2024-35301MEDIUMIn JetBrains TeamCity before 2024.03.1 commit status publisher didn't check project scope of the GitHub App tokenEPSS 0.3%CVE-2026-1772MEDIUMRTU500 web interface: An unprivileged user can read user management information. The information cannot be accessed via the RTU500 web user EPSS 0.3%CVE-2026-1759MEDIUMImproper handling of insufficient permissions or privileges vulnerability in Secomea GateManager allows Privilege Escalation. This issue afEPSS 0.3%CVE-2024-42194LOWHCL BigFix Inventory is affected by an access control vulnerabilityEPSS 0.3%CVE-2026-44201MEDIUMWagtail: Improper restriction handling on Documents and Images APIEPSS 0.3%CVE-2026-58416HIGHFork-PR Actions task can read a third private repository via the collaborative-owner branch (missing fork-PR guard)EPSS 0.3%CVE-2024-55604MEDIUMAppsmith's Broken Access Control Allows Viewer Role User to Query DatasourcesEPSS 0.2%CVE-2025-64997MEDIUMInsufficient permission validation when showing agent informationEPSS 0.2%CVE-2025-20649MEDIUMIn Bluetooth Stack SW, there is a possible information disclosure due to a missing permission check. This could lead to remote (proximal/adjEPSS 0.2%CVE-2026-11804MEDIUMProgram Module VulnerabilityEPSS 0.2%CVE-2023-41972HIGHRevert password check incorrect type validationEPSS 0.2%CVE-2026-24096MEDIUMInsufficient permission validation on multiple REST API Quick Setup endpointsEPSS 0.2%CVE-2026-6805MEDIUMVulnerability on Cryptobox external sharing featureEPSS 0.2%